PHP güvenlik açıklarına ilişkin tartışmalar sürerken Siber Güvenlik Uzmanı Gökhan Say konuyu kapsamlı biçimde ele aldı. Say, güvenlik açıklarının tespit edilmesinin tek başına yeterli olmadığını, asıl sorunun bu açıkların giderilme hızında yattığını belirterek kurumlar için en kritik adımın mevcut yamayı bir an önce uygulamak olduğunu vurguladı.
Açığı Bulmak Problemi Çözmüyor
Say, konuya ilişkin değerlendirmesine yapay zekanın güvenlik açıklarını tespit etme konusundaki rolüyle başladı. Uzman, bu sürecin yalnızca bir boyutunu çözdüğünü, ikinci boyutun ise hâlâ çözümsüz kaldığını ifade etti: "İşin aslında bir tarafını çözdük biz, ikinci tarafını henüz çözmüş durumda değiliz. Zaten problemimiz de o."
Say'a göre yapay zekanın güvenlik açığı tespitindeki hızı beraberinde başka bir sorunu da getiriyor: "false positive" olarak adlandırılan, yani kurumlar açısından gerçek bir tehdit oluşturmayan açıkların da milyonlarca adet tespit edilmesi. Bu durum güvenlik uzmanlarını ve teknoloji operasyon ekiplerini gereksiz uyarılar arasında boğabiliyor.
Büyük Şirketlerde Yama Süreci Ortalama 6 Ay
Güvenlik açıklarının kapatılması için uygulanan yamaların büyük kuruluşlarda devreye alınmasının ciddi zaman aldığını belirten Say, bu konuda çarpıcı rakamlar aktardı: "Bu yamaların şu andaki ortalama süresi 6 ay büyük şirketlerde. Yani bazı yamaların 2 sene sonra, 3 sene sonra, 4 sene sonra hâlâ yapılmadığını görüyoruz."
Say, gecikmeler için teknik bir gerekçe de sundu. Özellikle eski sistemlerde yamaların uygulanmasının son derece güç, hatta zaman zaman imkânsız hale gelebildiğini söyleyen uzman, otomatik güncelleme teknolojisinin de henüz istenen olgunluğa ulaşmadığına dikkat çekti. Hatalı bir güncellemenin sistemlerin çökmesine yol açabileceğini belirten Say, büyük şirketlerin bu nedenle güncellemeleri uygulamadan önce temkinli davranmak zorunda kaldığını ve bunun da zaman kaybına neden olduğunu vurguladı.
Hackerlar Yapay Zeka ile Saldırı Kodlarını Çok Daha Hızlı Yazıyor
Güvenlik açıklarının kamuoyuna duyurulmasının ardından saldırganların da bu bilgilere erişebildiğini hatırlatan Say, yapay zekanın yalnızca savunma tarafında değil, saldırı tarafında da kullanıldığını vurguladı: "Hackerlar bizden çok daha hızlılar. Bizim bu problemleri düzeltme hızımızdan daha hızlı bir şekilde kendi kodlarını yapay zekayla yazıp, saldırı kodlarını, ondan sonrasında da bu sistemlere saldırıyorlar."
Say, yapay zekanın bu çift taraflı kullanımının dünya genelinde ciddi bir tehdit oluşturduğunu da sözlerine ekledi. Anthropic, OpenAI, Google ve X gibi şirketlerin kendi yapay zekalarının kriminal amaçlarla kullanılmaması için çeşitli önlemler aldığını, ancak bunu tam anlamıyla engellemenin mümkün olmadığını belirten Say, açık kaynaklı yapay zeka modellerinin de hacker grupları ve suç örgütleri tarafından kolaylıkla kullanılabildiğine dikkat çekti.
Katmanlı Güvenlik: Açık Olsa Bile Korunmak Mümkün
e-Devlet gibi dijital kamu hizmetlerinin açıklardan etkilenmediğine dair duyuruların ardından Say, bir güvenlik açığının var olmasının otomatik olarak saldırıya uğranacağı anlamına gelmediğini açıkladı. Uzman, bunu anlaşılır bir benzetmeyle örneklendirdi: "İçerideki bir kapınız kilitli değil ama önünde bir kapı daha var gibi düşünebilirsiniz."
Say, bu yaklaşımı "katmanlı güvenlik" olarak tanımladı. Bir açığın saldırıya dönüşebilmesi için uzaktan erişilebilir olması gerektiğini belirten uzman, kurumların aldığı ek güvenlik önlemleriyle açığa ulaşılmasının engellenebileceğini söyledi. Uygulama güvenliğinin birden fazla noktada sağlanmasının, açık mevcut olsa bile korunma şansı tanıdığını vurguladı.
Katmanlı güvenlik mimarisinin işleyişini de aktaran Say, güvenlik operasyon merkezlerinin bu tür açıklara yönelik saldırıları anlık olarak izlediğini ve saldırı tespit edildiğinde harekete geçecek mekanizmaların devrede olduğunu anlattı. Veri hırsızlığını önlemeye yönelik yazılımların yanı sıra web uygulamalarında anormal bir durum sezildiğinde bağlantıyı kesebilen sistemlerin de kullanıldığını belirtti.
Büyük Şirketler 130'u Aşkın Güvenlik Yazılımı Kullanabiliyor
Say, kurumların farklı saldırı türlerine karşı ne denli kapsamlı bir güvenlik altyapısı kurmak zorunda kaldığını da rakamlarla ortaya koydu: "Bugün baktığınızda bir şirket, özellikle de büyük bir şirket 70'in üzerinde, 80'in üzerinde, hatta 120'nin, 130'un üzerinde bile güvenlik yazılımı kullanabiliyor, kullanmak zorunda kalabiliyor."
Güvenlik açıklarının saldırganlardan önce tespit edilmesinin önemini de vurgulayan Say, OpenAI ve Anthropic gibi şirketlerin bu alandaki en kritik katkısını şöyle özetledi: "Hackerlar bulmadan bunları sen bul." Ancak her zaman açıkların önceden bilinmesinin mümkün olmayabileceğini de hatırlatan uzman, bu nedenle bahsedilen koruyucu önlemlerin alınmasının zorunlu olduğunu yineledi.
En Kritik Adım: Yamayı Hemen Uygulayın
PHP açıkları söz konusu olduğunda şu an için atılması gereken en önemli adımı soran soruya Say net bir yanıt verdi: "Yamalarını yapmak. Şu anda yama çıkmış durumda. Bu yamayı yapmaktan daha önemli hiçbir şey yok."
Sıkça Sorulan Sorular
PHP güvenlik açığı için şu an ne yapılmalıdır?
Siber Güvenlik Uzmanı Gökhan Say'a göre şu an için atılması gereken en kritik adım mevcut yamayı uygulamaktır. Say, "Şu anda yama çıkmış durumda. Bu yamayı yapmaktan daha önemli hiçbir şey yok" diyerek yamayı uygulamanın öncelikli olduğunu vurguladı.
Güvenlik açığını bulmak problemi çözmek için yeterli midir?
Gökhan Say'a göre hayır. Uzman, güvenlik açığının tespit edilmesinin sorunun yalnızca bir tarafını çözdüğünü, ikinci tarafın yani açıkların giderilmesinin henüz tam anlamıyla çözüme kavuşturulmadığını belirtti.
Büyük şirketlerde güvenlik yamalarının uygulanması ne kadar sürer?
Say, büyük şirketlerde güvenlik yamalarının uygulanmasının ortalama 6 ay sürdüğünü aktardı. Bazı yamaların ise 2, 3 hatta 4 yıl sonra bile hâlâ yapılmadığı görüldüğünü ekledi. Eski sistemlerde bu düzeltmelerin yapılmasının son derece güç ya da imkânsız olabildiğini de vurguladı.
Yapay zeka saldırganlar tarafından da kullanılabiliyor mu?
Evet. Say, yapay zekanın yalnızca güvenlik uzmanlarının değil, hackerlerin ve suç örgütlerinin de kullandığı bir araç olduğunu belirtti. Saldırganların açık kaynaklı yapay zeka modelleri aracılığıyla saldırı kodlarını savunma tarafının açıkları kapatma hızından çok daha hızlı biçimde hazırlayabildiğini ifade etti.
Bir kurumda güvenlik açığı bulunması saldırıya uğranacağı anlamına mı gelir?
Say'a göre hayır. Bir güvenlik açığının saldırıya dönüşebilmesi için açığın uzaktan erişilebilir olması gerektiğini açıklayan uzman, kurumların aldığı katmanlı güvenlik önlemleriyle açık mevcut olsa bile saldırıdan korunulabileceğini söyledi.
